Forskning: nästan alla snabbmeddelanden du använder är säkra

En budbärare, som främst används i Kina, har läckt ut mer än 130 000 mycket explicita bilder, videor och ljudinspelningar av sina användare. Även om denna meddelandetjänst var förknippad med ett företag som erbjöd ett förment "privat socialt nätverk" och därför hade en liten användarbas.

Killarna från CyberNews utvärderade i sin nya studie säkerhetsfunktionerna i stora meddelandeapplikationer, vi har översatt det och inbjuder dig att ta en titt.

Vi har goda nyheter för användare av de mest populära budbärarna: 11 av 13 appar, alla utom Telegram och Facebook Messenger, har säkerhetsfunktioner aktiverade som standard. Det här ser lovande ut och budbärarbranschen är helt klart på väg åt rätt håll.

Forskarna fann också att de flesta applikationer använder RSA- och AES- kryptering och nyckelhashing, vilket är de säkraste och effektivaste krypteringsmetoderna som finns tillgängliga idag.

I allmänhet behövs kryptering inte bara för att skydda "privata" meddelanden. Sådana säkra budbärare tillåter aktivister från hela världen att bekämpa orättvisor och auktoritärt styre utan rädsla för att bli förföljda, såsom anti-Lukasjenko-protesterna i Vitryssland.

Analysobjekt

För att genomföra analysen tittade forskarna på olika aspekter av 13 populära appar för säkra meddelanden:

• Signal
• Wickr Jag
• budbärare
• WhatsApp
• Telegram
• Tråd
• Viber
• Cyber ​​Dust
• iMessage
• Privat
• Qtox
• Session
• Briar

Nyckelfynd

Analysen inkluderade de kommunikationsprotokoll som användes och krypteringsstandarder för olika applikationer, nyckelutbytesprinciper och kryptografiska primitiver.

• 2 applikationer använder inte säkerhetsfunktioner som standard, användaren måste aktivera dem själv i inställningarna
• 4 appar använder industristandardsignalkryptering
• endast 2 appar använder P2P- protokoll för datautbyte
• iMessage krypterar inte meddelanden om de skickas över GSM (med 2G- och 3G-nätverk)
• 3 av 13 appar har ett abonnemang som låter dig använda avancerade funktioner
• de flesta applikationer använder RSA och AES, några av de säkraste krypteringsalgoritmerna som finns tillgängliga idag, för att kryptera och hasha nycklar

Hur säkra budbärare fungerar

Medan fokus ligger på de mest populära meddelandeapparna som Signal, Messenger, Viber, Telegram och WhatsApp, utökade forskarna analysen till att inkludera andra meddelandeappar för att ge omfattande insikter i själva branschen. Vi kommer också att prata om Session, Briar, Wickr Me, Wire och Cyber ​​​​Dust.

Det som hittades är mestadels uppmuntrande: alla appar utom två gav säkerhet som standard, och Telegram och Messenger kunde enkelt säkras genom att ändra användarinställningar.

Fyra applikationer – Signal, Messenger, WhatsApp och Session – använde Signal-protokollet för end-to-end-kryptering. Med end-to-end-kryptering kan bara avsändaren och mottagaren se meddelanden, medan utan end-to-end-kryptering kan meddelandeapplikationsservern som sitter mellan avsändaren och mottagaren läsa meddelandena. Signalprotokollet har blivit branschstandarden för säker meddelande-, röst- och videokommunikation.

En intressant aspekt i fallet med iMessage- appen, som används på Apple-enheter, är att den bara krypterar data när den skickas över HTTPS. Vid sändning via GSM (2G och 3G) är data inte krypterad.

Endast två applikationer, Briar och Qtox, använder P2P- protokollet för att överföra data över ett peer-to-peer-nätverk. P2P låter dig överföra data direkt från användare till användare utan att använda servern som mellanhand. Medan Briar erbjuder andra överföringsprotokoll använder Qtox bara sin egen P2P TOX. Det är därför de inte har någon integritetspolicy, eftersom de inte har tillgång till användardata.

Alla recenserade budbärare är gratis eller har en gratisversion, endast Wire kräver ett betalabonnemang. Anledningen är att den är gjord för företagsbehov, som Slack eller Microsoft Teams, endast stöder end-to-end-kryptering.

I allmänhet drog forskarna slutsatsen att du kan kommunicera säkert med hjälp av dessa budbärare, kom bara ihåg att för Facebook Messenger eller Telegram måste du aktivera säkerhetsfunktioner i inställningarna för applikationen eller en separat chatt.

Detta är nödvändigt inte bara för säkerheten, utan också för att upprätthålla integriteten, eftersom Facebook- och Telegram-servrarna inte heller kommer att kunna se dina meddelanden.

Vad menas med säkerhet i budbärare, och vad ger de inte säkerhet för?

Det är viktigt att förstå att det finns vissa begränsningar när vi pratar om säkerhet i budbärare. I längden beror det på hur exakt du ska använda dem.

För normal användning är det viktigt att din messenger krypterar data, helst som standard. Men utöver det finns det användare som vill ha så mycket säkerhet som möjligt, vilket innebär fullständig, eller nästan fullständig, anonymitet. Så att ingen utom dem kan se meddelanden, spåra deras utbyte eller ens veta deras namn. Mot bakgrund av detta misslyckas de flesta av dessa tjänster. Åtminstone för att applikationerna inte är perfekta, precis som de som skriver dem. En app kan använda alla de starkaste säkerhetsfunktionerna, men ingen app är immun mot en bugg.

Ett av de tydligaste exemplen på detta är WhatsApp, som har haft sårbarheter i många år. Till exempel tillät israelisk spionprogram installation av spionprogram endast genom att ringa offret via WhatApp. Facebook Messenger hade också sårbarheter som gjorde det möjligt för hackare att i hemlighet lyssna på dina konversationer utan större ansträngning.

Även Signal, som rekommenderas av cybersäkerhetsproffs, föll offer för ett sofistikerat hack som gjorde att de kunde avlyssna dig med något slags spöksamtal. De ringde ett samtal och tryckte omedelbart på mute-knappen. Samtalet var inte synligt, men de kunde ha avlyssnat din omgivning.

Och det här är bara fall där hackare använder sårbarheter för att attackera individer. Under årens lopp har myndigheter och brottsbekämpande myndigheter använt olika metoder för att spionera på hela grupper av människor. I Hong Kong ska den kinesiska regeringen ha använt en Telegram – bugg för att få användarnas telefonnummer. Tyska forskare fann också att WhatsApp, Signal och Telegram exponerade användarnas personuppgifter genom kontakter.

Ingen av dessa applikationer erbjuder absolut säkerhet och kommer aldrig att göra det, eftersom en person eller grupp människor med tillräckligt med tid och resurser alltid kommer att hitta en lösning. Även om applikationen var helt säker på egen hand, kunde den inte fixa dina egna misstag.

Som sagt i Telegram FAQ:

"Vi kan inte skydda dig från din egen mamma om hon tar din olåsta telefon utan lösenord. Eller från din IT-avdelning om de har tillgång till din dator på jobbet. Eller från andra personer som får fysisk eller root-åtkomst till dina telefoner eller datorer som har Telegram installerat.”

Om du agerar osäker kan ingen säker meddelandeapp rädda dig.

Resultattabell

I bilden nedan hittar du all information om de 13 meddelandeapparna som vi granskade i den här artikeln.

Enligt CyberNews.